ccpa-consumer-requests

CCPA に基づく消費者からのリクエストの管理

概要

California Consumer Privacy Act（CCPA）は、California Privacy Rights Act（CPRA）による改正後、カリフォルニア州の消費者に対し、個人情報に関する特定の権利を付与しています。このスキルでは、知る権利、削除する権利、訂正する権利、販売／共有をオプトアウトする権利、機微な個人情報の利用を制限する権利を含む、CCPA に基づく消費者からのリクエストを処理するための運用ワークフローを説明します。

法的根拠

CCPA／CPRA の主要規定

知る権利（Cal. Civ. Code Section 1798.100, 1798.110, 1798.115）

消費者は、事業者に対して以下を開示するようリクエストする権利があります。

• 収集された個人情報のカテゴリ（Section 1798.110(a)(1)）
• 個人情報の収集元のカテゴリ（Section 1798.110(a)(2)）
• 個人情報を収集、販売、共有する事業上または商業上の目的（Section 1798.110(a)(3)）
• 個人情報の開示先である第三者のカテゴリ（Section 1798.110(a)(4)）
• 事業者が消費者について収集した個人情報の具体的な内容（Section 1798.110(a)(5)）

削除する権利（Cal. Civ. Code Section 1798.105）

消費者は、事業者が収集した自身に関する個人情報を削除するようリクエストする権利があります。事業者は、記録から消費者の個人情報を削除し、サービスプロバイダーおよび請負業者に削除を通知するとともに、情報を購入または受領した第三者にも削除を通知する必要があります。

削除の例外（Section 1798.105(d)）：

1. 取引を完了する、またはリクエストされたサービスを提供する
2. セキュリティインシデントを検知する、または不正行為を防止する
3. エラーを特定して修正するためにデバッグする
4. 言論の自由またはその他の法的権利を行使する
5. California Electronic Communications Privacy Act を遵守する
6. 公共の利益のための研究を実施する（消費者の同意を得た場合）
7. 消費者の期待に合理的に沿った、社内のみの用途を可能にする
8. 法的義務を遵守する
9. その他、収集時の状況に適合する合法的な方法で社内利用する

販売／共有をオプトアウトする権利（Cal. Civ. Code Section 1798.120, 1798.135）

消費者は、自身の個人情報を第三者に販売または共有する事業者に対し、その個人情報の販売または共有を停止するよう指示する権利があります。事業者は、ウェブサイトに「個人情報を販売または共有しないでください」という明確で目立つリンクを設置する必要があります。

差別されない権利（Cal. Civ. Code Section 1798.125）

事業者は、消費者が CCPA に基づく権利を行使したことを理由に、以下のような差別をしてはなりません。

• 商品またはサービスの提供を拒否する
• 価格または料金を変える
• 商品またはサービスのレベルや品質を変える
• 消費者が異なる扱いを受けることを示唆する

訂正する権利（Cal. Civ. Code Section 1798.106）

CPRA によって追加された権利です。消費者は、不正確な個人情報の訂正をリクエストする権利があります。

機微な個人情報の利用を制限する権利（Cal. Civ. Code Section 1798.121）

CPRA によって追加された権利です。消費者は、事業者による機微な個人情報の利用を、リクエストされたサービスの実施または商品提供に必要な目的に制限する権利があります。

CCPA に基づく消費者リクエストのワークフロー

ステップ 1：リクエストを受け付ける

CCPA では、リクエストを提出する方法を少なくとも 2 つ用意する必要があります。

• フリーダイヤルの電話番号
• ウェブサイトのフォームまたはメールアドレス
• 事業者がオンラインのみで事業を運営している場合は、メールでの受付のみが必要です

1. CCPA-YYYY-NNNN の参照番号を付けて記録します。
2. リクエストの種類（知る、削除、訂正、オプトアウト、制限）を記録します。
3. 受け付けたチャネルを記録します。
4. 10 営業日以内に受領を確認します。

ステップ 2：消費者の本人確認

CCPA 規則（11 CCR Section 7060-7064）では、申請の種類に応じた水準で本人確認を行うことが求められています。

申請の種類	確認基準	方法
知る権利 — カテゴリ	合理的な確実性	少なくとも 2 つのデータポイントを照合します（氏名 + メールアドレス、氏名 + アカウント番号など）
知る権利 — 個別の情報	合理的に高い確実性	少なくとも 3 つのデータポイントを照合し、偽証罪に問われることを理解したうえでの署名付き宣誓書を取得します
削除権	合理的な確実性	少なくとも 2 つのデータポイントを照合します
訂正権	合理的な確実性	少なくとも 2 つのデータポイントを照合します
販売のオプトアウト権	本人確認は不要（不正が疑われる場合を除く）	事業者との関係を確認します

消費者がパスワードで保護されたアカウントを持っている場合、事業者は既存の認証プロセスを通じて本人確認を行うことができます。

ステップ 3：申請を処理する

知る権利

1. 過去 12 か月間に収集したすべての個人情報を特定します。
2. CCPA のカテゴリごとに回答をまとめます。
   • 識別子（氏名、住所、メールアドレス、SSN、運転免許証、パスポート、IP アドレス、アカウント名）
   • 顧客記録（財務情報、保険、教育、雇用）
   • 保護対象の分類属性（年齢、人種、性別、宗教、障害）
   • 商業情報（購入履歴、消費傾向）
   • 生体情報
   • インターネットまたはその他の電子ネットワーク上の活動（閲覧履歴、検索履歴、ウェブサイト／アプリとのやり取り）
   • 位置情報
   • 音声、電子、視覚、熱、嗅覚、または類似の情報
   • 職業または雇用に関連する情報
   • 教育情報（FERPA の対象外）
   • 消費者プロファイルを作成するために上記から導き出された推論
   • 機微な個人情報（SSN、金融口座、正確な位置情報、人種／民族的出自、宗教的信条、健康データ、性生活／性的指向）
3. 各カテゴリについて、情報源のカテゴリ、事業目的、および第三者を開示します。

削除権

1. ステップ 2 に従って申請を確認します。
2. Section 1798.105(d) に基づく例外が適用されるかどうかを判断します。
3. 例外が適用されない場合、すべてのシステムから個人情報を削除します。
4. サービスプロバイダーおよび請負業者に削除を通知します。
5. 情報を購入または受領した第三者に削除を通知します。

販売／共有のオプトアウト権

1. 本人確認は不要です（直ちに処理します）。
2. 15 営業日以内に、消費者の個人情報の販売および共有を停止します。
3. 消費者がその後に承認しない限り、少なくとも 12 か月間、販売／共有を行わないでください。
4. 今後のすべての販売／共有活動に適用します。

ステップ 4：消費者に回答する

申請の種類	回答期限	形式
知る権利	45 暦日（通知によりさらに 45 日間延長可能）	書面（メールまたは郵送）。移植可能で、すぐに利用できる形式
削除権	45 暦日（さらに 45 日間延長可能）	書面による確認
訂正権	45 暦日（さらに 45 日間延長可能）	書面による確認
オプトアウト権	15 営業日	書面による確認
機微な PI の利用制限権	15 営業日	書面による確認

ステップ 5：記録して保管する

1. 申請、本人確認のプロセス、回答、および結果を記録します。
2. CCPA 規則（11 CCR Section 7101）に従い、記録を 24 か月間保管します。
3. 事業者が年間 1,000 万件以上の消費者記録を受け取る場合、年次指標（受け取った申請数、対応した申請数、却下した申請数、回答時間の中央値）をまとめて公表します。

差別禁止要件

消費者がCCPAに基づく権利を行使した場合、事業者は次のことをしてはなりません。

• 商品またはサービスの提供を拒否すること
• 異なる価格を請求すること（消費者のデータによって得られる価値と合理的に関連する場合を除く）
• 異なる水準または品質の商品やサービスを提供すること
• 消費者が異なる価格や品質を受けることになると示唆すること

金銭的インセンティブプログラム（例：ロイヤルティプログラム）はプライバシー通知で開示し、消費者のオプトインによる同意を得る必要があります。インセンティブは消費者のデータの価値と合理的に関連していなければなりません。